Let’s Encrypt con validazione DNS

Let’s Encrypt via validazione DNS (Proxmox)

Con il nostro plugin DNS per Proxmox puoi far rinnovare automaticamente i certificati Let’s Encrypt tramite il challenge DNS-01. Funziona senza accesso HTTP ed è ideale per l’interfaccia di gestione di Proxmox, per servizi interni e per sistemi dietro un firewall.

Requisiti

• Il tuo dominio deve puntare ai nostri server dei nomi (DNS gestito presso FireStorm)
• L’accesso API deve essere attivato (sotto admin.firestorm.ch → Profilo cliente → Accesso API)
• Tieni a portata di mano il tuo numero cliente e la tua chiave API

1. Installare il plugin

Scarica il plugin sul tuo host Proxmox:

curl -o /usr/share/proxmox-acme/dnsapi/dns_firestorm.sh https://api.firestorm.ch/downloads/dns_firestorm.txt

Se gestisci un cluster Proxmox, il plugin deve essere installato su ogni nodo.

Inoltre la definizione del plugin va inserita nel file di schema:

python3 -c "
import json
f='/usr/share/proxmox-acme/dns-challenge-schema.json'
d=json.load(open(f))
d['dns_firestorm']={'name':'FireStorm DNS','fields':{
'FST_Key':{'description':'Numero cliente FireStorm','type':'string'},
'FST_Secret':{'description':'FireStorm API Key','type':'string'}}}
json.dump(d,open(f,'w'),indent=2,sort_keys=True)
print('OK')
"

2. Creare un account ACME

Crea un nuovo account sotto Datacenter → ACME → Accounts → Add. Inserisci il tuo indirizzo e-mail e accetta le condizioni d’uso di Let’s Encrypt.

3. Creare il plugin DNS Challenge

Sotto Datacenter → ACME → Challenge Plugins → Add:

Questo plugin funziona per tutti i domini del tuo account, ti basta un unico plugin nel datacenter.

4. Configurare il certificato

Sotto Node → System → Certificates → ACME:

• Seleziona l’account ACME creato
• Aggiungi un dominio: inserisci l’hostname (per esempio proxmox.tuodominio.ch), tipo di challenge DNS, seleziona il plugin

5. Ordinare il certificato

Clicca su Order Certificates Now. Proxmox imposta automaticamente il record DNS, attende la validazione e installa il certificato.

Il certificato viene rinnovato automaticamente 30 giorni prima della scadenza.

Risoluzione dei problemi

«dns_firestorm» non compare nella selezione
Assicurati che siano installati sia il file .sh sia la definizione dello schema (vedi passo 1). Ricarica l’interfaccia web di Proxmox.

«Invalid credentials»
Controlla che numero cliente e chiave API siano corretti. La chiave API la trovi sotto admin.firestorm.ch → Profilo cliente.

«Zone not found»
Il dominio deve puntare ai nostri server dei nomi e nel tuo account deve esistere una zona DNS.

Il certificato non viene rinnovato
Proxmox tenta il rinnovo automaticamente 30 giorni prima della scadenza. Controlla lo stato sotto Node → System → Certificates.

Altre guide

Per Cert Warden c’è l’articolo Let’s Encrypt con Cert Warden. Come far aggiornare automaticamente un record DNS da un router MikroTik è descritto nell’articolo DynDNS con un router MikroTik.